网络管理中心iBrain NMC

信锐iBrain智能网络管理中心(简称iBrain NMC)是网络设备的集中管理与智能运维中心,可以作为网络管理的智慧大脑,平台支持对无线AP、安视交换机、Turbo Fusion极智融合系列网关、NAC网络控制器等设备进行集中管理,可实现全网设备的快速激活、策略配置、故障定位、安全告警、智能运维等,同时支持对全网用户进行统一身份认证与角色授权等,一站式降低网络管理难度。结
NMC3.12.0及以下版本
{{sendMatomoQuery("网络管理中心iBrain NMC","WAPI认证配置指导手册")}}

WAPI认证配置指导手册

更新时间:2023-12-07

1功能简介

WAPI是中国无线局域网强制性标准中的安全机制。与WIFI的单向加密认证不同,WAPI 双向 均认证,从而保证传输的安全性。WAPI安全系统采用公钥密码技术,鉴权服务器 AS 负责证书的颁发、验证与吊销等,无线客户端与无线接入点AP上都安装有 AS颁发的公钥证书,作为自己的数字身份凭证。当无线客户端登录至无线接入点AP时,在访问网络之前必须通过鉴别服务器AS对双方进行身份验证。根据 验证的结果,持有合法证书的移动终端才能接入持有合法证书的无线接入点AP。

WAPI无线局域网鉴别基础结构(WAI)不仅具有更加安全的鉴别机制、更加灵活的密钥管理技术,而且实现了整个基础网络的集中用户管理。从而满足更多用户和更复杂的安全性要求。

2配置步骤

2.1AS服务器配置

1)第一步:修改AS服务器的网络管理地址,截图如下:

2)第二步:创建分组,截图如下:

3)第三步:添加AP设备,截图如下:

4)第四步:申请AP凭证并下载,截图如下:

5)第五步:将AP凭证放到相应分组,截图如下:

6)第六步:在初始化设置中下载根证书,截图如下:

7)第七步:重启AS服务器以生效配置。

8)第八步:添加STA设备(注意认证时,使用设备MAC,不要使用随机MAC,如果访问AS服务器下载证书,则需要填写MAC地址,若使用APP下载,则不需要填写,建议使用网页下载)截图如下:

9)第九步:申请STA凭证,截图如下:

10)第十步:审核STA凭证并下载,截图如下:

11)第十一步:将STA凭证放入相应分组,截图如下:

2.2控制器配置

2.2.1NMC3.10.0版本控制器导入补丁包

1)第一步:平台管理—》平台维护—》系统更新—》平台升级—》补丁包升级,上传相应补丁包,该补丁级包升级不需要重启控制,截图如下:

注意:补丁包的需要找当地办事处技服或通过400电话申请获取,申请时请提前准备好项目姓名、控制器SN/网关ID等信息

图形用户界面, 应用程序

描述已自动生成

2)第二步:点击开始升级,等待设备升级完成,出现“升级完成”提示,即完成补丁包升级,截图如下:

图形用户界面, 文本, 应用程序, 电子邮件

描述已自动生成

2.2.2证书导入

1)导入AS证书,认证配置—》证书管理—》新增—》WAPI-AS证书,点击选择添加AS证书,上传AS证书并点击提交:

图形用户界面, 应用程序

描述已自动生成

2)导入AE证书,认证配置—》证书管理—》新增—》WAPI-AE证书,点击选择添加AE证书,上传AE证书并点击提交:

2.2.3添加AS服务器

1)第一步:认证配置—》认证授权—》外部服务器,新建一个AS服务器,截图如下:

2)第二步:填写AS服务器相关信息,IP地址为AS服务器地址,端口默认3810,截图如下:

2.2.4创建无线网络

1)第一步:基本配置,SD-WLAN—》无线网络—》新增高级无线网络,点击基本配置,填入SSID名称以及选择对应的AP接入点,其他选项如无特殊要求,保持默认即可,截图如下:

图形用户界面, 应用程序

描述已自动生成

2)第二步:认证类型,点击认证类型,选择WAPI(企业),截图如下:

图形用户界面, 应用程序

描述已自动生成

3)第三步:账号认证,选择对应的AS\AE证书以及创建的AS服务器,截图如下:

图形用户界面, 应用程序, 电子邮件

描述已自动生成

4)第四步:VLAN设置以及权限设置等其他设置,按业务需求自行更改即可。

图形用户界面, 文本, 应用程序, 电子邮件

描述已自动生成

2.3终端配置

1)第一步:将下载的终端证书以及根证书下载到手机存储的根目录下。

2)第二步:在终端WLAN-更多WLAN设置-安装证书 选择对应的证书进行安装即可。

                 

3注意事项

1)WAPI认证服务器中如果IP地址进行变更,苹果手机以及安卓手机的app 需要由 WAPI认证服务器厂商做相应的调整。

2)目前有个别手机终端不支持WAPI认证,需要与WAPI认证服务器厂商确认。

3)认证之前用户终端是需要事先安装证书,并提交个人用户信息供网络管理员审核。如果证书安装失败或是网络管理员不进行审核,都是无法正常通过认证的。

4)前期认证需要配置两个SSID,后期等单位所有员工认证上去之后,可以把其中用于辅助WAPI认证的SSID关闭掉 。

5)用户连接上WiFi,必须要保证用户认证前能够成功的与WAPI服务器进行数据交互,即认证前的流量可达WAPI服务器。

6)“业务管理”-“AP凭证申请”处导出的证书对应导入到我司控制器的 AE证书中,“初始化设置”中的根证书对应了我司控制器上面的AS证书。